Ein Kommentar von Stephan von Gündell-Krohne, Sales Director DACH bei Forescout Technologies

[datensicherheit.de, 27.09.2019] Aktuell kämpft Rheinmetall Automotive laut Medienberichten mit den Auswirkungen von Cyberattacken. Es sieht so aus, als käme es weltweit zu Produktionsausfällen. Zudem gibt es Berichte über Hackerangriffe bei Airbus, bei denen die Angreifer bewusst die Partner des Unternehmens ins Visier nehmen, um Geschäftsprozesse zu unterbrechen. Beide Fälle verdeutlichen die neue Gefahr von Disruptionware: Schadsoftware, die darauf ausgelegt ist, Abläufe zu stören.

Veränderungen in der Gefahrenlandschaft

Sicherheitsexperten beschreiben im Bericht Rise of Disruptionware: A Cyber-Physical Threat to Operational Technology Environments die Veränderungen in der Gefahrenlandschaft und wie sich Organisationen vorbereiten sollten. Neben angepassten Schädlingen haben sich auch die Ziele der Angreifer verändert. Anstatt dem Diebstahl von Informationen oder Finanzbetrug sehen sie es gezielt auf Assets ab, die nur schwer Wiederherstellbar sind.

Bild: ForeScout

Stephan von Gündell-Krohne, „Sales Director DACH“ bei Forescout

Die Folgen sind so drastisch, dass sie wie im Falle von Rheinmetall oder Airbus der Öffentlichkeit nicht verborgen bleiben. Im Gegensatz zur früheren Cyberattacken geht es den Tätern um gezielte Sabotage. Wie im Beispiel Rheinmetall bleibt die klassische IT verschont oder steht zumindest nicht im Fokus, stattdessen geht man den leichteren Weg. In fast jedem Netzwerk finden sich mittlerweile unerwartete Endpunkte. Viele smarte Industrieanlagen, Klimasteuerungen und andere Geräte aus dem Internet der Dinge (IoT) sind nicht gegen Attacken geschützt.

Neue Angriffsvektoren entstehem

Unternehmen werden mit der zunehmenden Vernetzung zwar agiler, digitale Innovation ohne entsprechende Schutzmechanismen birgt aber auch ein Risiko, da neue Angriffsvektoren entstehen. Dies kann so weit gehen, dass Produktionsanlagen dauerhaft beschädigt werden.

Die Experten erkennen eine systematische Entwicklung und erwarten, dass sich die Bedrohungslage weiter verschlimmert. Grund ist die Zunahme von vernetzten Devices und die voranschreitende Digitalisierung. Während immer mehr Endpunkte über Onlineverbindungen miteinander kommunizieren, verharren viele IT-Entscheider aber gerade bei der OT-Sicherheit in alten Paradigmen. Dort spielt die Absicherung von Informationen und der Zugangsschutz zu Endgeräten und Netzwerken nur eine untergeordnete Rolle. Mögliche Schutzmechanismen werden nicht implementiert, da man Einschränkung bei der Performance fürchtet. Daher werden die Vorfälle bei Rheinmetall und Airbus keine Einzelfälle bleiben.

Weitere Informationen zum Thema:

datensicherheit.de, 17.06.2019
Mutmaßliche Ransomware-Attacke auf Flugzeugbau-Zulieferer

datensicherheit.de, 24.05.2019
Unternehmen brauchen Transparenz in der Digitalisierung

datensicherheit.de, 26.02.2019
Forescout-Studie: Unternehmen spüren veränderte Sicherheitslage

Von unserem Gastautor Armin Simon, Regional Director DACH bei Gemalto

[datensicherheit.de, 02.10.2017] Vor wenigen Tagen musste die US-Börsenaufsicht SEC [1] eingestehen, dass sie 2016 Opfer einer Cyberattacke wurde. Dabei gingen vertrauliche Informationen, die für den Insiderhandel genutzt werden können, verloren. Angeblich hatte die Behörde das volle Ausmaß erst im letzten August erkannt.

Spätestens seit dem Angriff auf den Bundestag im Jahr 2015 wissen IT-Verantwortliche, dass sich die Gefahrenlage geändert hat. Durch Zero-Day-Schwachstellen und ausgeklügelte Malware ist es nur eine Frage der Zeit, bis Sicherheitsmechanismen umgangen und Netzwerke kompromittiert werden können. Cybercrime hat sich zu einem organisierten Geschäftsfeld entwickelt und mit Malware-as-a-Service-Angeboten braucht es kein technisches Know-how mehr, um Attacken zu starten.

In der Praxis geschieht zu wenig

Trotzdem geschieht in der Praxis zu wenig und SEC ist nur eines der Beispiele für Fahrlässigkeit und mangelnde Vorbereitung. Als wichtigste Aufsichtsbehörde steht man natürlich im Fadenkreuz, trotzdem war man nicht in der Lage die Daten richtig zu schützen oder den Sicherheitseinbruch umgehend zu erkennen. Zudem kann die SEC keine Angaben über die betroffenen Datensätze machen. Leider wird schnell klar, dass es in den meisten Unternehmen ähnlich aussieht und interne Prozesse nicht an die Bedrohungslage angepasst worden sind.

Eigentlich sollte man aus Fehlern lernen

Die schlechte Informationslage und die verspätete Erkenntnis sind exemplarisch für die mangelhafte Sicherung von Informationen. Eine Analyse aller bekannten Datenverluste weltweit im Breach Level Index [2] verdeutlicht, dass die Anzahl der Sicherheitseinbrüche immer weiterwächst und Unternehmen sich nicht richtig auf die Situation eingestellt haben. In den ersten sechs Monaten dieses Jahres wurden 918 Breaches gemeldet, dies sind 13 Prozent mehr als im zweiten Halbjahr 2016. Erschreckend ist dabei die Explosion der gestohlenen Datensätze: Insgesamt wurden bei den Vorfällen 1.9 Milliarden Datensätze illegal kopiert, dies entspricht einer Steigerung um 164 Prozent in sechs Monaten.

Bild: Gemalto

Armin Simon, Regional Director DACH bei Gemalto

Da in der Untersuchung nur öffentlich bekannte Datenlecks untersucht werden, dürfte die Dunkelziffer nochmals höher liegen. Viele Organisationen besitzen keine ausreichenden Mechanismen zum Schutz ihrer Informationen. In 59 Prozent aller gemeldeten Incidents ist die Anzahl der betroffenen Datensätze nicht bekannt. Dies deutet darauf hin, dass die Angreifer nach der Überwindung des Netzwerks- und Perimeterschutzes ungesehen auf Informationen zugreifen konnten. Die SEC ist also keine Ausnahme, IT-Abteilungen stehen nach Datenverlusten vor einem Scherbenhaufen: Obwohl Angriffe fast schon zum Alltag gehören, sind sie nicht in der Lage Datenschutz zu gewährleisten.

Überraschend ist die große Anzahl an versehentlichen Verlusten, denn 86 Prozent aller entwendeten Datensätze wurden infolge von Fahrlässigkeit verloren. Zwar sind Außentäter immer noch die Hauptursache für Sicherheitseinbrüche, allerdings kommen immer wieder große Mengen an Daten durch mangelnde Sorgfalt abhanden.

IT-Verantwortliche sollten nicht in Panik verfallen, trotzdem müssen Sicherheitsstrategien umgehend angepasst werden. Deshalb ist der Einsatz von starker Verschlüsselung wichtig, trotzdem wird nicht ausreichend auf entsprechende Mechanismen zurückgegriffen. Nur fünf Prozent aller gehackten Datensätze in Deutschland waren entsprechend geschützt, obwohl unter IT-Entscheidern ein breiter Konsens über die Wirksamkeit von Kryptografie herrscht.

Sowohl die Datenschutz-Grundverordnung (DSGVO) als auch das BSI sprechen sich für ihren Einsatz aus. Verschlüsselte Daten sind ohne den Schlüssel erst mal nutzlos und geschützt, auch wenn sie sich außerhalb der Reichweite der Administratoren befinden oder umliegende Systeme Opfer einer Cyberattacke wurden.

Die Zahlen sind erdrückend und dies geht zulasten der Wirtschaft und der Bürger, deren persönliche Daten entwendet wurden – ohne das sie darüber informiert wurden. Ab März 2018 wird die DSGVO anwendbar und wird dies grundlegend ändern. Beispielsweise gibt es eine Meldepflicht für Sicherheitseinbrüche, falls persönliche Daten entwendet wurden. Ansonsten drohen hohe Bußgelder.

Der Breach Level Index befasst sich seit 2013 mit Incidents und erscheint mittlerweile halbjährlich. Es ist wahrscheinlich, dass sich aufgrund der neuen Verpflichtungen die Datengrundlage für die Analyse ab 2018 deutlich erweitern. Unternehmen sollten bis dahin den Empfehlungen folgen und persönliche Informationen durch starke Verschlüsselung schützen.

Fazit

Vorfälle wie beim SEC sind leider alltäglich geworden und genau deshalb sollte ein Ruck durch IT-Abteilungen von Unternehmen gehen. Natürlich werden Daten immer wieder durch Cyberkriminelle gestohlen, aber genau deshalb sollte man sich sorgfältig auf den Fall der Fälle vorbereiten. Leider zeigen aktuelle Analysen, dass genau das Gegenteil der Fall ist.

Trotz der nahenden Anwendbarkeit der DSGVO steigt die Anzahl der Incidents. Vor allem versehentliche Datenverluste nehmen stark zu und immer häufiger können die betroffenen Unternehmen keine genauen Opferzahlen nennen, obwohl persönliche Informationen entwendet wurden.

Starke Verschlüsselung durch Key-Management und der Einsatz von HSMs sind eine gute Möglichkeit, wichtige Grundlagen für mehr Datenschutz zu schaffen. Sie erlauben eine praktische Umsetzung von Behörden- und die EU-Empfehlungen. Zudem eignet sich eine durchgängige Verschlüsselung als nachhaltige Sicherheitsstrategie.

[1] Spiegel online 2017: „Hacker klauen Daten von SEC“

[2] Gemalto 2017: „Breach Level Index H1 2017“

Weitere Informationen zum Thema:

datensicherheit.de, 20.09.2017
Gemalto: Breach Level Index-Bericht für die erste Jahreshälfte 2017 vorgestellt

[datensicherheit.de, 06.10.2016] Zielgerichtete Cyberangriffe werden teils unter falscher Flagge durchgeführt. Dabei kommen zunehmend diverse Täuschungstechniken wie gefälschte Zeitstempel, Sprachketten oder Malware zum Einsatz, mit denen die Zuschreibung einer Cyberattacke erschwert wird. Operationen können so unter dem Deckmantel nicht existierender Akteure durchgeführt werden. Diese Erkenntnisse gehen aus einer aktuellen Analyse von Kaspersky Lab [1] hervor.

Wachsende Komplexität und Unsicherheit bei der Zuordnung von Cyberbedrohungen

Wer tatsächlich hinter einer Cyberattacke steckt, ist eine Frage, die beantwortet werden will; auch wenn es schwer bis unmöglich ist, exakt zu bestimmen, wer die Täter sind. Um die wachsende Komplexität und die Unsicherheiten bei der Zuordnung heutiger Cyberbedrohungen zu demonstrieren, haben Experten von Kaspersky Lab untersucht, wie fortschrittliche Bedrohungsakteure Operationen unter falscher Flagge durchführen, um Opfer und Sicherheitsexperten zu täuschen.

„Die Zuordnung zielgerichteter Angriffe ist kompliziert, unzuverlässig und subjektiv. Bedrohungsakteure versuchen zunehmend, gängige Indikatoren zu manipulieren, um Spuren zu verwischen“, erklärt Brian Bartholomew, Sicherheitsforscher bei Kaspersky Lab. „Wir glauben daher, dass eine genaue Zuordnung oftmals nahezu unmöglich ist.“

Indikator Zeitstempel

Malware-Dateien enthalten Zeitstempel, die einen Hinweis auf das Erstellungsdatum liefern. Werden genug verwandte Malware-Samples gesammelt, können Rückschlüsse auf die Arbeitszeiten der Entwickler gezogen werden und damit auf die Zeitzone, in der sie arbeiten. Laut des Kaspersky Labs sind Zeitstempel allerdings sehr einfach zu fälschen, beispielsweise um eine falsche Spur zu legen.

Indikator Sprache

Malware-Dateien enthalten oft Zeichenketten und Debug-Pfade. Die dort verwendete Sprache beziehungsweise das Niveau der Sprache könnten Hinweise auf den Autor des Codes geben. Auch enthalten Debug-Pfade teils Nutzer- sowie interne Projekt- und Kampagnennamen. Bei Phishing-Dokumenten können zudem Metadaten entnommen werden, die Statusinformationen über den Computer des Autors enthalten.

Allerdings können Angreifer diese Hinweise leicht manipulieren und für Verwirrung sorgen. Ein Beispiel: die Malware des Bedrohungsakteurs ,Cloud Atlas‘ [2] enthielt falsche Sprachhinweise, arabische Zeichen bei der BlackBerry-Version, Hindi-Zeichen in der Android-Version sowie die Wörter ,JohnClerk‘ im Projektpfad der iOS-Version. Dennoch hatten viele eine Gruppe mit osteuropäischen Verbindungen im Verdacht. Der Bedrohungsakteur ,Wild Neutron‘ [3] nutzte sowohl rumänische als auch russische Sprachketten, um für Verwirrung zu sorgen.

Indikator Infrastruktur

Eine Command-and-Control-Server (C&C)-Infrastruktur kann teuer und schwer zu unterhalten sein. Die Folge: auch finanziell gut ausgestattete Akteure greifen gerne auf bestehende C&C-Systeme oder Phishing-Infrastrukturen zurück. Backend-Verbindungen können ebenfalls einen flüchtigen Blick auf die Angreifer geben, wenn diese bei den durchgeführten Operationen nicht adäquat anonymisiert werden. Allerdings können auch so falsche Fährten gelegt werden, geschehen bei ,Cloud Atlas‘ [2], wo zur Täuschung südkoreanische IP-Adressen verwendet wurden.

Indikator verwendete Tools

Angreifer setzen auf öffentliche, aber auch auf selbst entwickelte Tools wie Backdoors oder Exploits, die sie wie ihre Augäpfel hüten, Forschern jedoch Hinweise auf deren Ursprung geben könnten. Das machte sich der Bedrohungsakteur ,Turla‘ [4] zu Nutze, indem die im Opfersystem eingeschleuste Malware ein seltenes Exemplar einer chinesischen Malware installierte, die mit einem in Peking lokalisierten System kommunizierte. Während das Vorfalluntersuchungsteam der falschen Fährte nachging, deinstallierte sich die eigentliche Malware im Hintergrund und verwischte alle Spuren auf den Opfersystemen.

Indikator Opfer

Die von den Angreifern attackierten Zielobjekte werden für Interpretationen und Analysen verwendet. Die Liste der Opfer im Fall ,Wild Neutron‘ [3] war jedoch so heterogen, dass sie bei möglichen Zuordnungsversuchen nur für Verwirrung sorgte.

Darüber hinaus nutzen manche Bedrohungsakteure das öffentliche Verlangen nach einer Verbindung von Angreifern und ihren Opfer aus, indem sie unter dem Deckmantel einer – oft nicht existenten – Hacktivisten-Gruppierung operieren. So versuchte sich die ,Lazarus‘-Gruppe [5], als die Hacktivisten-Gruppe ,Guardians of Peace‘ zu tarnen, als sie im Jahr 2014 Sony Pictures Entertainment attackierte. Bei dem unter dem Namen ,Sofacy‘ bekannten Bedrohungsakteur wird von vielen eine ähnliche Taktik vermutet, weil er sich als unterschiedliche Hacktivisten-Gruppen in Szene setzte.

Auch gab es Fälle, bei denen Angreifer versuchten, einen anderen Bedrohungsakteur mit einer Attacke in Verbindung zu bringen. Dies geschah beim bisher nicht zugeordneten Akteur ,TigerMilk‘ [6], der seine verwendeten Backdoors mit demselben gestohlenen Zertifikat signierte, das auch bei Stuxnet verwendet wurde.

Weitere Informationen zum Thema:

SECURELIST.COM
Report „Wave your false flags!“

[1] https://securelist.com/analysis/publications/76273/wave-your-false-flags/

[2] https://de.securelist.com/blog/analysen/58714/cloud-atlas-apt-roter-oktober-ist-wieder-im-spiel/

[3] https://de.securelist.com/blog/analysen/68609/wild-neutron-wirtschaftsspionage-bedrohung-kehrt-mit-neuen-tricks-zurck/

[4] https://de.securelist.com/analysis/veroffentlichungen/59356/die-epic-turla-operation-aufklrung-einiger-mysterien-rund-um-snakeuroburos/

[5] https://securelist.com/blog/incidents/73914/operation-blockbuster-revealed/

[6] Ein Bericht über TigerMilk steht Kunden der APT Threat Intelligence Services von Kaspersky Lab zur Verfügung.